ITTales :(){ :|:& };:
1.39K subscribers
119 photos
15 videos
6 files
515 links
Этот чудесный мир IT

Contact: @kvaps
Download Telegram
Forwarded from k8s (in)security (D1g1)
И снова один из читателей канала поделился интересным фактом из Kubernetes безопасности.

В CNI Cilium в заголовке пакетов добавляется информация об identity контейнера, что передает данные! При этом разработчик признают, что это security sensitive information и рекомендуют:
1) Либо шифровать весь трафик
2) Либо относится к своей сети как к доверенному окружению (Облака?!) (то есть некоторые модели нарушителя просто не рассматривать)

Это фигурирует только в документации от версии 0.8, а далее этот момент полностью пропал из документации ... Но на практике так все и продолжает работать (опросил ряд компаний)!

Я думаю, что наличие такой default капабилити у контейнеров как CAP_NET_RAW [1,2,3] - открывает атакующим множество интересных атак и это достойно отдельного исследования ;)

С наскоку забуриться в исходный код Cilium и найти эту часть там у меня не получились. Может кто уже копал в этом направлении или хочет к этому присоединиться?

P.S. Может и в правду сделать рубрику #читателипишут ?!
Forwarded from The After Times
Media is too big
VIEW IN TELEGRAM
Вот как-то так и живём
👍7
Did you know? You can retrieve Win 7/8/10/11 OEM key from Linux itself. Useful if you want to run Windows VM under Linux
https://www.cyberciti.biz/faq/linux-find-windows-10-oem-product-key-command/